Quel petit modèle de langage convient à la banque et à l'assurance ?
Le petit modèle de langage qui convient à la banque et à l'assurance est un modèle compact qu'un établissement peut exécuter dans son propre périmètre, sans reporter sur un prestataire externe une fonction devenue critique. Un petit modèle de langage (SLM) est un modèle compact de 3 à 20 milliards de paramètres ; un grand modèle de langage (LLM) est un modèle massif dont l'exécution passe le plus souvent par une infrastructure distante. Pour un secteur tenu de maîtriser le risque lié à ses tiers, cette différence est structurante : un modèle compact rend l'exécution interne praticable, ce qui diminue la dépendance et le risque de concentration sur un fournisseur unique.
Que change le règlement DORA pour le déploiement d'un petit modèle de langage dans la banque et l'assurance ?
Le règlement DORA (règlement (UE) 2022/2554) impose aux entités financières un cadre de résilience opérationnelle numérique : gestion du risque lié aux prestataires tiers de services informatiques, tenue d'un registre d'information sur ces prestataires, tests de résilience et notification des incidents majeurs. Pour un déploiement de petit modèle de langage, DORA déplace la première question vers le statut du fournisseur : un modèle exécuté chez un tiers relève du risque des tiers et de ses obligations, à transposer au droit du marché visé.
Un déploiement dont l'établissement garde la maîtrise réduit cette surface : moins de dépendance et une stratégie de sortie plus simple. Le RGPD (règlement (UE) 2016/679) s'ajoute pour les données personnelles des clients, dont les transferts hors de l'Union à son chapitre V, sous le contrôle d'une autorité comme l'ACPR pour la supervision prudentielle et la CNIL pour la protection des données.
Comment un petit modèle de langage tient-il la résilience et le contrôle des tiers dans la banque et l'assurance ?
Un petit modèle de langage tient la résilience et le contrôle des tiers dans la banque et l'assurance quand son exécution reste dans un environnement maîtrisé, que son traitement documentaire ne verse rien à l'extérieur, et que ses accès sont journalisés pour l'auditeur. L'inférence (le calcul par lequel le modèle produit une réponse à partir d'une requête) a lieu dans le périmètre de l'établissement. La génération augmentée par récupération (RAG), qui ancre chaque réponse sur des documents récupérés, source ses réponses dans les dossiers, les contrats et les référentiels internes, sans les exposer.
Le routage (l'aiguillage de chaque requête vers le modèle le mieux adapté) permet d'orienter les requêtes portant sur des données de clients vers le modèle exécuté en interne, et de réserver un environnement moins contraint aux données publiques. Sur la plateforme Optivalue.ai, qui édite ce site, le déploiement se fait selon trois modes, tous souverains : en mode partagé, sur cloud privé ou sur site. Les conditions techniques générales sont détaillées sur un petit modèle de langage garde-t-il les données dans l'entreprise.
Quelles contraintes de la banque et de l'assurance pèsent sur le déploiement d'un petit modèle de langage ?
Les contraintes de la banque et de l'assurance pèsent sur le déploiement d'un petit modèle de langage à trois endroits : le risque lié aux tiers, la résilience du service et la protection des données des clients. Le tableau les met en regard des propriétés que le déploiement doit tenir.
| Contrainte de la banque et de l'assurance | Ce que le déploiement souverain permet | Ce qu'il empêche |
|---|---|---|
| Risque des tiers exigé par DORA | une exécution interne ou maîtrisée | une dépendance non maîtrisée à un prestataire |
| Résilience et stratégie de sortie | une sortie et une restitution maîtrisées | un enfermement chez un fournisseur unique |
| Protection des données des clients (RGPD) | un traitement sans exposition à un tiers | une réutilisation des données au bénéfice d'un autre client |
| Auditabilité par le superviseur | une journalisation des accès constatable | une résilience seulement déclarée |
Les critères qui guident le choix d'un petit modèle de langage dans la banque et l'assurance
Ces critères se posent avant le déploiement, dans cet ordre, parce que ce premier critère commande les suivants.
- Le statut du fournisseur. Établir si le modèle relève du risque des tiers au sens de DORA, ou s'il s'exécute dans le périmètre de l'établissement.
- La stratégie de sortie. Vérifier qu'on peut quitter le déploiement avec restitution des données, sans dépendance résiduelle.
- La testabilité. Retenir un déploiement dont la résilience peut être testée et documentée.
- La localisation. Fixer la juridiction d'hébergement des données des clients avant tout choix technique.
La concession qui clarifie tout : quand un grand modèle de langage reste le bon choix
Un grand modèle de langage, ou une IA générique, reste le bon choix quand la donnée traitée est publique et sans lien avec un client : synthèse d'une publication réglementaire ouverte ou brouillon interne sans donnée personnelle ni fonction critique. L'appareillage souverain serait alors disproportionné.
La frontière est l'instant où une donnée engage un client ou une fonction critique : une donnée personnelle, une pièce contractuelle, un traitement dont l'indisponibilité affecterait le service. À cet endroit, garder le traitement dans un environnement maîtrisé devient une condition d'exploitation. Le choix des modes de déploiement est détaillé sur comment déployer un petit modèle de langage souverain en entreprise.
Questions fréquentes
Un petit modèle de langage aide-t-il à répondre aux exigences de DORA ?
Un petit modèle de langage exécuté dans un environnement maîtrisé réduit la dépendance aux prestataires tiers, ce que DORA demande de gérer et de documenter. La conformité complète dépend aussi du registre des prestataires, des tests de résilience et de la notification des incidents, que le déploiement ne règle pas à lui seul.
Un petit modèle de langage réduit-il le risque de concentration sur un fournisseur ?
Un petit modèle de langage rend l'exécution interne praticable, ce qui diminue la dépendance à un prestataire unique et le risque de concentration visé par DORA. Le degré de réduction dépend du mode de déploiement retenu.
Où résident les données des clients traitées par un petit modèle de langage ?
Les données des clients résident dans la juridiction retenue par l'établissement ; sur la plateforme qui édite ce site, l'hébergement est possible dans plus de 80 pays. La localisation détermine le droit applicable et l'autorité compétente.
Quelle autorité contrôle le traitement d'un petit modèle de langage dans la finance ?
Le contrôle relève d'autorités distinctes selon la juridiction : en France, l'ACPR pour la supervision prudentielle et la CNIL pour la protection des données, à transposer au droit du marché visé. Le choix de la localisation détermine ces autorités.
Un déploiement interne facilite-t-il la stratégie de sortie exigée par DORA ?
Un déploiement dont l'établissement garde la maîtrise facilite la stratégie de sortie, car la restitution des données et l'arrêt du service ne dépendent pas d'un tiers. Cette réversibilité se vérifie dans les engagements contractuels et la configuration.